Seu restaurante oferece Wi-Fi grátis. Um cliente conecta, acessa o banco, tem os dados interceptados por alguém na mesa ao lado. Outro usa a mesma rede para postar ameaças anônimas. A polícia rastreia o IP e chega ao seu CNPJ.
Os riscos jurídicos de wi-fi aberto não são cenário hipotético. São processos reais, multas previstas em lei e uma cadeia de responsabilidades que a maioria dos gestores de PDV desconhece. O Brasil tem o segundo maior número de hotspots do mundo, com quase 365 mil pontos catalogados. Com o cenário do wi-fi público no Brasil em 2026 cada vez mais regulado, Marco Civil da Internet, LGPD e jurisprudência recente do STJ formaram um cerco que torna o Wi-Fi desprotegido um risco triplo: civil, penal e regulatório.
O que vem a seguir é o mapa completo desse cerco, com base na legislação vigente, decisões de 2025 e 2026, e as medidas práticas que eliminam a exposição.
Veja mais vídeos como esse em nosso canal do YouTube!
O que o Marco Civil exige de quem oferece Wi-Fi
A Lei nº 12.965/2014 (Marco Civil da Internet) é o ponto de partida. Quando seu hotel, academia ou café disponibiliza acesso à internet para clientes, você opera como provedor de conexão. Não importa se é “só um roteador com senha colada no balcão”. A função jurídica é a mesma.
As obrigações são concretas:
- Guarda de registros de conexão por 1 ano. O Art. 13 determina que o administrador do sistema mantenha logs (IP, data, hora de início e término da conexão) em ambiente controlado, sob sigilo.
- Identificação do usuário sob ordem judicial. Quando o juiz pede, você precisa dizer quem usou a rede, em que horário, com qual dispositivo. Sem logs, não há como cumprir.
- Responsabilidade por omissão. O Art. 18 protege o provedor contra responsabilidade pelo conteúdo gerado por terceiros. Porém, essa proteção depende do cumprimento das obrigações de registro. Sem log, sem proteção.
Em maio de 2025, o STJ decidiu no REsp 2.170.872 que o provedor de conexão deve identificar o usuário acusado de ato ilícito pelo IP e período, sem exigir dados de porta lógica. Na prática: se alguém usa seu Wi-Fi para algo ilegal e você não tem registro nenhum, o problema recai sobre o seu estabelecimento.
Caso emblemático: um cyber café em São Paulo foi condenado por não conseguir identificar o cliente que usou a rede para publicar ofensas. Alegou não ter como rastrear. O tribunal não aceitou.
Logs de conexão são o mínimo. Mas o Wi-Fi do seu negócio provavelmente coleta mais do que IP e horário. E é exatamente aí que a LGPD entra.
LGPD e Wi-Fi: cada login é tratamento de dado pessoal
Quando o cliente informa e-mail, CPF, telefone ou faz login social (Facebook, Google) para acessar o Wi-Fi, seu captive portal coleta dados pessoais. Isso enquadra o negócio como agente de tratamento sob a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).
O Art. 46 é direto: o agente de tratamento deve adotar “medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.” Rede sem criptografia, portal sem política de privacidade, dados armazenados sem controle: tudo isso é descumprimento.
Três pontos que gestores de PDV ignoram com frequência:
- Base legal para a coleta. Não basta coletar. É preciso ter base legal válida: consentimento, legítimo interesse ou execução contratual. O login via Facebook, por exemplo, captura nome, e-mail e foto de perfil. Se o usuário não foi informado da finalidade, o consentimento não se sustenta.
- Comunicação obrigatória de incidentes. A Resolução CD/ANPD nº 15/2024 obriga todos os agentes de tratamento (incluindo microempresas e MEIs) a comunicar incidentes de segurança à ANPD e aos titulares afetados.
- Princípio da minimização. Colete apenas o necessário para a finalidade declarada. Se a finalidade é autenticar na rede, pedir CPF, data de nascimento e endereço é excessivo. E ilegal.
A ANPD está amadurecendo rápido. Em 2024, instaurou cinco processos administrativos e não aplicou multa. Em junho de 2026, abriu processo sancionador contra a Claro por compartilhar mais de 100 pontos de dados de cada cliente com a Serasa, com risco de multa de até R$ 50 milhões. Com a transição da ANPD para agência reguladora via MP 1.317/2025, a capacidade de fiscalização e punição se ampliou. A tolerância regulatória ficou no passado.
Até aqui, o problema está no que você coleta e como armazena. Mas existe uma camada anterior: o que acontece quando a própria rede expõe o cliente a um ataque?
Responsabilidade civil: o ataque na sua rede vira processo contra você
Um hóspede usa o Wi-Fi do hotel. Alguém na mesma rede intercepta credenciais bancárias com um ataque man-in-the-middle. O hóspede perde R$ 15 mil. Processa o hotel.
Exagero? 25% dos pontos de Wi-Fi aberto testados em Paris foram classificados como inseguros pela Kaspersky em 2024. Apenas 6% usavam WPA3. O cenário em estabelecimentos brasileiros de pequeno e médio porte tende a ser pior.
A base jurídica para a responsabilização é o Código de Defesa do Consumidor. O Art. 14 estabelece que o fornecedor de serviços responde objetivamente por defeitos na prestação. Se o Wi-Fi faz parte do serviço oferecido (e em hotéis, academias, coworkings, faz), a falha de segurança pode ser enquadrada como defeito.
A posição do STJ intensificou o cenário. Em setembro de 2025, a 3ª Turma firmou no REsp 2.201.694 que a disponibilização indevida de informações pessoais gera dano moral presumido. O titular não precisa comprovar sofrimento emocional. Basta demonstrar que os dados foram expostos.
Os ataques mais comuns em redes sem controle não exigem habilidade avançada. Ferramentas como Wifiphisher e Bettercap automatizam o processo:
- Evil twin. O atacante cria uma rede com o mesmo nome da sua. O cliente conecta na rede falsa achando que é a do estabelecimento. Todo o tráfego passa pelo invasor.
- DNS spoofing. Redireciona o cliente para páginas falsas de bancos, e-mail ou redes sociais.
- Injeção em captive portal. O invasor compromete o próprio portal de login. Em 2017, um Starbucks em Buenos Aires teve código injetado no portal Wi-Fi para minerar criptomoeda nos laptops dos clientes. Marca global, portal vulnerável.
A defesa do estabelecimento, em caso de processo, passa por demonstrar que adotou medidas técnicas razoáveis: segregação de rede, autenticação individual, criptografia, monitoramento. Se a rede é aberta, sem senha, sem portal, sem segmentação, a negligência fica evidente.
Esse é o caso em que o cliente é vítima. Mas quando o cliente é o autor do ilícito, o risco muda de forma, não de tamanho.
Crimes cometidos na sua rede: quem a polícia procura primeiro
Pedofilia, ameaça, estelionato digital, pirataria. Quando um crime online é investigado, o ponto de partida é o IP. Se o IP pertence ao seu estabelecimento e você não tem como identificar qual usuário fez o quê, a investigação estaciona no seu CNPJ.
Você não vira réu automaticamente. Mas sem logs que vinculem dispositivo, identidade e horário, perde a capacidade de apontar o responsável real. E fica na posição de quem viabilizou anonimato.
Na Europa, o caso McFadden vs. Sony Music (CJEU, C-484/14) tentou equacionar a questão. O Tribunal decidiu que o provedor de Wi-Fi gratuito não responde por infrações de direitos autorais dos usuários. Mas acrescentou: o provedor pode ser obrigado a proteger a rede com senha e identificar quem se conecta.
No Brasil, não existe “porto seguro” equivalente. A proteção do Art. 18 do Marco Civil contra responsabilidade por conteúdo de terceiros pressupõe o cumprimento das obrigações de registro. Quem não guarda log não tem escudo.
Três esferas de risco, portanto, convergem para o mesmo ponto de falha: rede aberta, sem autenticação, sem registro. Na esfera civil, negligência perante o CDC e a LGPD. Na esfera regulatória, descumprimento do Marco Civil e da ANPD. Na esfera penal, facilitação de anonimato para atos ilícitos. A boa notícia é que a solução para os três problemas é a mesma.
Como eliminar a exposição jurídica do Wi-Fi no seu negócio
Desligar o Wi-Fi não é resposta. Transformá-lo de rede aberta em canal controlado, autenticado e documentado resolve a questão. Cinco medidas práticas eliminam a maior parte do risco:
Captive portal com autenticação obrigatória. Todo acesso passa por uma tela de login. O usuário se identifica com e-mail, celular ou login social antes de navegar. Isso gera registro individual de quem conectou, quando e como, atendendo ao Marco Civil (log de conexão) e à LGPD (tratamento com base legal documentada). Veja como um hotspot social com captive portal funciona na prática.
Termos de uso e política de privacidade no portal. Antes de conectar, o usuário aceita os termos. Isso formaliza o consentimento, delimita responsabilidades e cria uma camada documental de proteção jurídica.
Segregação de rede (VLAN). A rede dos clientes não pode ser a mesma do caixa, do sistema de gestão ou das câmeras. Redes separadas garantem que, mesmo se a rede guest for comprometida, os dados operacionais permanecem protegidos.
Retenção de logs por no mínimo 1 ano. MAC address, IP atribuído, horário de sessão e dado de identificação do usuário, armazenados em ambiente seguro com backup. É o que viabiliza o cumprimento de ordens judiciais sem que o estabelecimento vire alvo.
Criptografia e firmware atualizado. WPA3 é o padrão recomendado. WPA2 com AES é o mínimo aceitável. WPS deve ser desativado. Equipamento defasado é porta aberta para ataques automatizados.
O ponto central é a autenticação. Um hotspot social com captive portal resolve as três esferas de risco e, ao mesmo tempo, transforma cada conexão em lead identificado: nome, contato, opt-in registrado. O mecanismo que protege juridicamente é o mesmo que permite campanhas de retorno, relacionamento e recompra. Para garantir proteção adequada, é fundamental implementar criptografia em redes wi-fi empresariais conforme os padrões de segurança atuais.
Para restaurantes e redes de alimentação, a implementação começa aqui. Para hotéis, aqui. Para academias, aqui.
E se você é provedor de internet, empresa de TI ou agência, o volume de clientes operando Wi-Fi desprotegido é uma oportunidade concreta. O modelo de revenda white label do hotspot social permite entregar captive portal como serviço sob sua própria marca, resolver o risco jurídico do cliente e gerar receita recorrente mensal.
Perguntas frequentes
Wi-Fi gratuito no meu estabelecimento pode gerar processo?
Sim. Se um cliente sofrer prejuízo por falha de segurança na rede, pode acionar o estabelecimento com base no Art. 14 do CDC (responsabilidade objetiva do fornecedor). Se alguém cometer crime usando a rede e você não tiver logs, pode responder por facilitar anonimato.
Sou obrigado a guardar registros de quem usa o Wi-Fi?
Sim. O Art. 13 do Marco Civil da Internet determina guarda de registros de conexão por 1 ano. O STJ já condenou estabelecimentos que não conseguiram identificar usuários quando requisitados judicialmente.
O captive portal com login social resolve a conformidade com a LGPD?
Parcialmente. O portal precisa apresentar política de privacidade clara, informar a finalidade da coleta, obter consentimento expresso e coletar apenas o necessário. A Resolução CD/ANPD nº 15/2024 também exige que incidentes de segurança sejam comunicados à ANPD e aos titulares, independentemente do porte da empresa.
Wi-Fi aberto sem senha é ilegal no Brasil?
Não é ilegal por si só. Porém, a ausência de autenticação dificulta o cumprimento das obrigações do Marco Civil e da LGPD, e amplia a exposição civil e penal do estabelecimento. Na prática, é risco desnecessário.
Posso ser responsabilizado por pirataria feita na minha rede?
Na União Europeia, o caso McFadden (CJEU, C-484/14) isentou o provedor de Wi-Fi gratuito da responsabilidade por infrações de direitos autorais, mas autorizou a exigência de senha e identificação. No Brasil, não existe decisão equivalente, e a falta de logs pode converter o provedor em corresponsável.
Qual a multa da LGPD para vazamento de dados coletados via Wi-Fi?
A multa pode alcançar 2% do faturamento da empresa, limitada a R$ 50 milhões por infração. Em junho de 2026, a ANPD abriu processo contra a Claro nessa faixa. Microempresas são alcançadas pela lei, embora as sanções tendam a ser proporcionais ao porte.
